Wijzigingen in SCaptcha 2.3.0
Uitgebracht op 8 september 2026. Dit is er veranderd in SCaptcha 2.3.0.
Nieuwe challenges en beperkte hergebruik
- Elke Proof-of-Work-challenge gebruikt een onafhankelijk, cryptografisch willekeurig salt van 32 bytes. Salt, hash, algoritme, oplossing en HMAC worden in de uitgevende WoltLab-sessie gevalideerd; de challenge verloopt na 60 seconden en werkt niet in een andere sessie.
- Challenges uit 2.2.x die vlak voor de update zijn uitgegeven, blijven alleen geldig tot hun normale afloop. De eenmalige, padgebonden marker vóór verzending en tekst-/audiobewijzen verlopen na 300 seconden.
- Formulierhergebruik, de Under-Attack-cookie en Sentinels weigeringscookie blijven gescheiden. Under-Attack duurt 300–1.800 seconden (standaard 600), Sentinel 600 seconden.
Proxygegevens, cache en providerlogs
- De proxycheck.io v3-normalisatie bewaart risico, confidence, times_seen, observatiedata, detectie-/delistingstatus, netwerktype en providerstatus. Ontbrekende of ongeldige metadata geldt niet als schoon resultaat.
- Sentinel vereist een positief aantal, minstens 50% confidence en bruikbare recente observaties. Delisted, verouderde, lege of zwakke resultaten worden genegeerd.
- Succes blijft 3.600 seconden in cache, volatiele of delisted resultaten 900. Fouten blijven 120–900 seconden; er zijn twee begrensde pogingen en rijen ouder dan 24 uur worden verwijderd.
- SCaptcha stuurt standaard tag=0. De beheerder kan logs van positieve detecties inschakelen; het IP-adres wordt hoe dan ook verzonden en provideruitval is geen schoon resultaat.
Analyse en bewaartermijn
- Lokale verzoekanalyse blijft standaard aan en kan koppelbare operationele gegevens opslaan: tijd, resultaat, URI, IP, user-agent, browser/apparaat, netwerk, locatie, redenen, Sentinel-data en verzonden telemetrie.
- De termijn is standaard 90 dagen en instelbaar van 1 tot 3.650. Alleen rijen vóór de grens worden verwijderd. Uitschakelen stopt nieuwe verzameling, maar verwijdert geen bestaande rijen of exports.
Browsers en toegankelijkheid
- Gedragsscores en Sentinel blijven standaard uit; audio, WebGL, animation frame en canvas draaien alleen met hun eigen optie. Niet-beschikbare signalen blijven neutraal.
- Algemene Chromium/ANGLE-, Mesa- en llvmpipe-renderers zijn op zichzelf geen automatisering. Aanwijzerbeweging geldt alleen voor de muis en scrollen alleen voor scrollbare pagina’s; toetsenbord en touch simuleren geen muis.
Gedateerde externe context
- Op 8 september 2026 stonden EDPB-richtsnoeren 02/2026 over anonimisering nog open voor feedback tot 30 oktober 2026. Ze worden hier niet als definitieve wet of richtsnoer beschreven.
- Chrome 153 verscheen op 8 september 2026 en startte de aangekondigde stabiele cyclus van twee weken. Compatibiliteit moet bij elke release opnieuw worden gecontroleerd.